首页
社区
课程
招聘
[求助]如何检测捆绑的可执行文件?
发表于: 2006-10-31 18:08 4301

[求助]如何检测捆绑的可执行文件?

2006-10-31 18:08
4301
我只知道在判断一个文件是否为PE,先用CreateFile开打这个PE,然后用

CreateFileMapping创建内存映射,MapViewOfFile读取内容,将句柄指向寄存

器,然后将这个寄存器作为一个句柄指向IMAGE_NT_HEADERS,读取

IMAGE_NT_SIGNATURE是否Signature.....也就是创建内存映射后读取是否符合PE

的文件标识...

那么,对于两个捆绑在一起的exe文件,是不是有两个PE头,也就是有两个

Signature,这样一来,该怎么检测出是否有捆绑?

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 216
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
2
网络上有这样的检测软件,不过准确率不高,你可以下载一个反汇编看看。
两个PE头 还真头一次听说
兄弟好好学习下病毒方面的知识,思路马上就来了
2006-10-31 22:20
0
雪    币: 796
活跃值: (370)
能力值: ( LV9,RANK:380 )
在线值:
发帖
回帖
粉丝
3
多谢提醒....这些东西都是涉及病毒知识了.....

两个PE头..

我也不知道怎么冒出来....
2006-10-31 23:35
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
是说有两个PE标志吧,可要把后一个加密一下呢,释放时再解密,这种方法还是行不通。而且这种加密保存的捆绑机现在也多的很
2006-11-1 08:30
0
游客
登录 | 注册 方可回帖
返回
//